包过滤防火墙的应用与配置
包过滤技术——防火墙技术与应用PPT课件
2 外部网络 地址
3 所有
目的IP
外部网络 地址
内部网络 地址
所有
协 议 源端口 目的端口 标志位 操作
TCP 任意 80
任意 允许
TCP 80
>1023 ACK 允许
所有 所有 所有
所有 拒绝
--
7
访问控制列表的配置有两种方式 • 严策略。接受受信任的IP包，拒绝其他所有的IP包。 • 宽策略。拒绝不受信任的IP包，接受其他所有的IP包。
--
11
谢谢（*^^*)
--
12
包过滤设备配置有一系列数据过滤规则，定义了什 么包可以通过防火墙，什么包必须丢弃。这些规则被称 为数据包过滤访问控制列表（ACL）。
--
6
下表所示的过滤规则样表包含以下内容： • 源IP地址、目标IP地址、源端口、目的端口 • 协议类型 • TCP包头标志位 • 对数据包的操作 • 数据流向
序号 源IP
主讲人：郑棋元
论 文：刘航
PPT： 刘丹晨
--
1
• 包过滤原理 • 包过滤规则表 • 包过滤技术优缺点分析
--
2
什么是包过滤技术？
包过滤是最早应用到防火墙当中的技术之一。 它针对网络数据包由信息头和数据信息两部分组成
这一特点而设计。 包过滤防火墙工作在网络层和传输层。
--
3
包过滤技术是对通过防火墙的数据包的首部信息进 行解析，根据事先定义的访问控制列表（ACL）规则决 定包的前行或被舍弃，以达到对数据包进行过滤。ACL 的出现就是配合防火墙的设计而被定义出来的。所以包 过滤防火墙的精华之处就在于ACL。包过滤既可作用在 入方向也可作用在出方向。
华为防火墙配置使用手册(自己写)[4]
![华为防火墙配置使用手册(自己写)[4]](https://img.taocdn.com/s3/m/2085ce1fcdbff121dd36a32d7375a417866fc10f.png)
华为防火墙配置使用手册(自己写)华为防火墙配置使用手册一、概述二、防火墙基本概念包过滤防火墙：它只根据数据包的源地址、目的地址、协议类型和端口号等信息进行过滤，不对数据包的内容进行分析。
它的优点是处理速度快，开消小，但是安全性较低，不能阻挠应用层的攻击。
状态检测防火墙：它在包过滤防火墙的基础上，增加了对数据包的连接状态的跟踪和记录，可以识别出非法的连接请求和数据包，并拒绝通过。
它的优点是安全性较高，可以阻挠一些常见的攻击，但是处理速度较慢，开消较大。
应用代理防火墙：它对数据包的内容进行深度分析，可以识别出不同的应用协议和服务，并根据应用层的规则进行过滤。
它的优点是安全性最高，可以阻挠复杂的攻击，但是处理速度最慢，开消最大。
访问控制：它可以根据源地址、目的地址、协议类型、端口号、应用类型等信息对网络流量进行分类和过滤，实现对内外网之间访问权限的控制和管理。
虚拟专网：它可以建立安全隧道，实现不同地域或者组织之间的数据加密传输，保证数据的机密性、完整性和可用性。
内容安全：它可以对网络流量中携带的内容进行检查和过滤，如、网页、文件等，并根据预定义的规则进行拦截或者放行。
用户认证：它可以对网络访问者进行身份验证，如用户名、密码、证书等，并根据不同的用户或者用户组分配不同的访问权限和策略。
流量管理：它可以对网络流量进行统计和监控，如流量量、流量速率、流量方向等，并根据预定义的规则进行限制或者优化。
日志审计：它可以记录并保存网络流量的相关信息，如源地址、目的地址、协议类型、端口号、应用类型、过滤结果等，并提供查询和分析的功能。
三、防火墙配置方法命令行界面：它是一种基于文本的配置方式，用户可以通过控制台或者远程终端访问防火墙，并输入相应的命令进行配置。
它的优点是灵便性高，可以实现细致的配置和管理，但是需要用户熟悉命令的语法和逻辑。
图形用户界面：它是一种基于图形的配置方式，用户可以通过浏览器或者客户端软件访问防火墙，并通过或者拖拽等操作进行配置。
包过滤防火墙的包过滤规则
包过滤防火墙的包过滤规则包过滤防火墙（Packet Filter Firewall）是一种网络安全设备，用于监控和控制进出网络的数据包流量，以保护网络免受未经授权的访问和攻击。
包过滤防火墙通过定义包过滤规则来决定哪些数据包可以通过，哪些需要被阻止。
包过滤规则是指对数据包进行检查和过滤的规则集合。
它基于一系列的条件和动作来判断数据包是否被允许通过防火墙。
下面将介绍几种常见的包过滤规则。
1. 源IP地址和目标IP地址：包过滤规则可以根据源IP地址和目标IP地址来判断数据包的来源和目的地。
通过指定源IP地址和目标IP地址，可以限制特定的通信流量。
2. 源端口和目标端口：包过滤规则可以根据源端口和目标端口来限制特定的应用程序或服务的访问。
通过指定源端口和目标端口，可以阻止或允许特定的网络通信。
3. 协议类型：包过滤规则可以根据协议类型来限制特定的网络协议的传输。
常见的协议类型包括TCP、UDP和ICMP等。
通过指定协议类型，可以控制不同协议的数据包流量。
4. 数据包的状态：包过滤规则可以根据数据包的状态来控制数据包的传输。
常见的数据包状态包括新建连接、已建立连接和已关闭连接等。
通过指定数据包的状态，可以限制特定状态的数据包通过防火墙。
5. 阻止或允许动作：包过滤规则可以根据条件来决定是阻止还是允许数据包通过防火墙。
当数据包符合规则条件时，可以选择阻止或允许数据包通过防火墙。
通过合理设置包过滤规则，可以提高网络的安全性。
以下是一些常见的包过滤规则示例：1. 允许内部网络的所有数据包出站，禁止外部网络的所有数据包入站。
2. 允许内部网络的Web服务器接收外部网络的HTTP请求，禁止其他端口的访问。
3. 允许内部网络的SMTP服务器发送邮件，禁止外部网络的SMTP 请求。
4. 允许内部网络的DNS服务器接收外部网络的DNS查询，禁止其他端口的访问。
5. 允许内部网络的FTP服务器接收外部网络的FTP请求，禁止其他端口的访问。
迪普防火墙包过滤策略配置指导(FW)
VLAN-IF1: 10.26.0.200/16 HostB 10.26.0.119/16
1.1.1.3 配置概览 序号
1 2 3 4 5 6
配置功能
组网配置 VLAN 设置 安全域 地址对象 自定义服务对象 服务对象组
(8) 访问：基本 > 防火墙 > 包过滤策略（包过滤日志） ，配置包过滤日志输出
说明： 1、 Syslog 日志类型适用于 Syslog 服务器， 流日志类型 （报文内容加密） 适用于 UMC 服务器， 以上配置基于 UMC 统一管理中心； 2、负载分担方式是根据权重设置分担比例，将包过滤日志发送到多台日志服务器，全部发 送方式是将所有包过滤日志发送到指定服务器； 3、 日志源 IP 为设备本地接口地址 （物理/逻辑） ， 且可达日志服务器； 日志源端口为大于 1024 且不与设备本地端口冲突； 4、当数据包未匹配任何包过滤策略时，数据包被丢弃，称为“默认丢弃” ，需勾选“包过滤 默认丢包日志” 。
1.1.1.5 功能验证 Host A 可访问 Host B 的所有服务， 通过包过滤策略 Host B 可访问 Host A 的 HTTP、
第 4 页
应用防火墙典型配置案例
公开
TCP_3389 服务；Host B 无法 Ping 通 Host A，可在 UMC 查看阻断日志。
在使用 UMC 情况下，可查看包过滤阻断日志
解决方案：配置“长连接”包过滤策略时，需精细化配置各项参数。
---------------------------------------------【常见问题 3】 ---------------------------------------------场景 1：配置错误导致 将鼠标放置策略上，查看显示的信息是否正确，如地址掩码及端口信息。
2.飞塔防火墙防火墙配置
Fortinet Confidential
防火墙介绍
Fortinet Confidential
防火墙技术分类
• 包过滤技术(Packet filtering) 包过滤防火墙工作在网络层，对数据包的源及目地 IP 具有识别和控制作用， 对于传输层，也只能识别数据包是 TCP 还是 UDP 及所用的端口信息。 • 代理网关技术(Proxy) 应用代理网关防火墙彻底隔断内网与外网的直接通信，内网用户对外网的 访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。所有通信都 必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的 TCP 连接，应用层的协议会话过程必须符合代理的安全策略要求。 • 状态检测技术(Stateful) 在防火墙建立状态连接表，并将进出网络的数据当成一个个的会话，利用 状态表跟踪每一个会话状态。状态监测对每一个包的检查不仅根据规则表，更 考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能 力。
系统管理-物理网络接口1
Fortinet Confidential
系统管理-物理网络接口2
Fortinet Confidential
系统管理- Vlan接口
Fortinet Confidential
系统管理- 802.3ad汇聚接口1
Fortinet Confidential
系统管理- 802.3ad汇聚接口2
系统管理-冗余接口2
Router 1
Router 2
Router 1
Router 2
主接口失效后， 冗余接口中的其 他接口将激活
正常情况，只有 冗余接口的主接 口处于工作状态。
主接口失效后， 冗余接口2开始 工作。
Linux防火墙的配置与管理：防火墙的包过滤功能设置
Linux防火墙的配置与管理为了保护校园网的安全，需要使用防火墙。
防火墙位于网络边界，用于保护局域网（LAN）内网和DMZ区，免受来自因特网（WAN）的攻击。
防火墙的工作实质是报文过滤。
一、项目简介（一）含有DMZ区的防火墙概述防火墙通常有三个接口（端口），分别是WAN、LAN和DMZ。
如图表3-1所示。
图3-1 防火墙拓扑结构图在网络中，非军事区（DMZ）是指为不信任系统提供服务的孤立网段，其目的是把敏感的内部网络和其他提供访问服务的网络分开，阻止内网和外网直接通信，以保证内网安全。
含有DMZ的网络，包括六条访问控制策略。
1、内网可以访问外网内网的用户可以自由地访问外网。
因此防火墙需要进行源地址转换。
2、内网可以访问DMZ内网用户使用和管理DMZ中的服务器。
3、外网不能访问内网由于内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。
4、外网可以访问DMZDMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。
同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。
5、DMZ不能访问内网很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要数据。
6、DMZ不能访问外网此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。
（二）Linux防火墙简介Linux下的防火墙是iptables/netfilter。
iptables是一个用来指定netfilter规则和管理内核包过滤的工具，它为用户配置防火墙规则提供了方便。
与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换NAT等功能。
1、netfilter的组成netfilter主要包括三个表（table）：filter、nat和mangle，分别用于实现报文过滤、网络地址转换和报文重构。
包过滤防火墙
包过滤防火墙防火墙的最简单的形式是包过滤防火墙。
一个包过滤防火墙通常是一台有能力过滤数据包某些内容的路由器。
包过滤防火墙能检查的信息包括第3层信息，有时也包括第4层的信息。
例如，带有扩展ACL的Cisco路由器能过滤第3层和第4层的信息。
一、过滤操作当执行数据包时，包过滤规则被定义在防火墙上。
这些规则用来匹配数据包内容以决定哪些包被允许和哪些包被拒绝。
当拒绝流量时，可以采用两个操作：通知流量的发送者其数据将丢弃，或者没有任何通知直接丢弃这些数据。
二、过滤信息包过滤防火墙能过滤以下类型的信息：★第3层的源和目的地址；★第3层的协议信息；★第4层的协议信息；★发送或接收流量的接口。
三、包过滤防火墙的优点包过滤防火墙有两个主要的优点：★能以很快的速度处理数据包；★易于匹配绝大多数第3层域和第4层报文头的域信息，在实施安全策略时提供许多灵活性。
因为包过滤防火墙只检查第3层和/或第4层信息，所以很多路由选择产品支持这种过滤类型。
因为路由器通常是在网络的边界，提供WAN和MAN接入，所以能使用包过滤来提供额外层面的安全。
四、包过滤防火墙的局限性除了上面提到的优点，包过滤防火墙有以下这些缺点：★可能比较复杂，不易配置；★不能阻止应用层的攻击；★只对某些类型的TCP/IP攻击比较敏感；★不支持用户的连接认证；★只有有限的日志功能。
包过滤防火墙不能阻止所有类型的攻击。
例如，不检测HTTP连接的实际内容。
攻击网络的一种最流行的方式是利用在Web服务器上发现的漏洞。
包过滤防火墙不能检测这些攻击，因为它们发生在已被允许的TCP连接之上。
包过滤防火墙不能检测和阻止某些类型的TCP/IP攻击，比如TCP SYN泛洪和IP欺骗。
如果包过滤防火墙允许到内部Web服务器的流量，它不会关心这是些什么类型的流量。
黑客可能利用这一点，用TCP SYN泛洪攻击Web服务器的80端口，表面上想要服务器上的资源，但相反是占用了上面的资源。
另一个例子是，包过滤防火墙不能检测所有类型的IP欺骗攻击，如果允许来自外部网络的流量，包过滤防火墙只能检测在数据包中的源IP地址，不能确定是不是数据包的真正的源地址（或目的地址）。
H3C S9500交换机Firewall之包过滤防火墙组网应用的配置
H3C S9500交换机Firewall之包过滤防火墙组网应用的配置一、组网需求：如下图所示，某公司通过SecBlade连接到Internet。
公司内部对外提供WWW 和FTP服务。
其中，内部WWW服务器地址为20.0.0.1，只允许外部特定pcB可以访问内部服务器，但是不能访问内部网络的其他资源，假定外部特定用户pcB的IP地址为203.1.1.2/24，内部用户pcA的地址为3.1.1.2/24 。
二、组网图三、配置步骤软件版本：H3C S9500交换机全系列软件版本硬件版本：H3C S9500交换机LSM1FW8DB1防火墙业务板1）添加内网VLAN 20和VLAN 3，外网VLAN 200，Secblade互连VLAN50[S9500] vlan 20[S9500－vlan20]port E2/1/1[S9500] vlan 3[S9500－vlan3]port E2/1/2[S9500] vlan 200[S9500－vlan200] port E3/1/1[S9500] vlan 502）配置内网VLAN接口IP地址[S9500] interface vlan-interface 20[S9500-Vlan-interface20] ip address20.0.0.254 24[S9500] interface vlan-interface 3[S9500-Vlan-interface3] ip address 3.1.1.1 24[S9500] interface vlan-interface 50[S9500-Vlan-interface50] ip address50.1.1.1 243）配置路由，发往外网的报文下一跳为SecBlade防火墙[S9500] ip route-static 0.0.0.0 0 50.1.1.24）配置SecBlade module，设置VLAN200为security-vlan [S9500]secblade module test[S9500-secblade-test] secblade-interface vlan-interface 50 [S9500-secblade-test] security-vlan 200[S9500-secblade-test] map to slot 25）进入SecBlade视图<S9500> secblade slot 2 （缺省用户名和密码为SecBlade，区分大小写）user：SecBladepassword：SecBlade6）配置子接口，Secblade互连子接口VLAN 50，外网子接口VLAN 200。
配置包过滤防火墙规则
配置包过滤防火墙规则
为了保护企业网络的安全,防火墙规则是必不可少的。
在配置防火墙规则时,我们需要遵循一些基本原则,比如安全性、可用性和可管理性。
安全性是配置防火墙规则最重要的原则。
我们需要确保防火墙能够保护我们的网络免受各种攻击。
例如,网络钓鱼、恶意软件和其他网络安全威胁。
因此,我们需要配置一些规则,以防止这些攻击。
比如,我们可以配置防火墙以阻止带有恶意代码的网站、禁止外部访问、过滤垃圾邮件等。
可用性也是非常重要的。
我们需要确保防火墙规则是灵活的和可管理的,以便我们能够及时应对网络威胁。
例如,我们可以配置防火墙以阻止外部访问,但在需要时允许访问。
我们也可以配置一些规则以限制文件传输,以防止大文件下载和数据泄露。
可管理性也是非常重要的。
我们需要确保防火墙规则是简单易用的,以便我们能够快速和准确地配置和管理它们。
例如,我们可以使用可
视化工具来创建、编辑和删除防火墙规则。
我们也可以使用防火墙管理界面来查看网络的状态和配置防火墙规则。
在配置防火墙规则时,我们还需要注意避免使用一些不良信息和敏感词。
这些信息可能会被防火墙截获,并对我们造成不必要的麻烦。
因此,我们需要确保防火墙规则文本是规范的和安全的。
总结起来,配置防火墙规则需要遵循安全性、可用性和可管理性原则。
我们需要确保防火墙规则文本是规范的和安全的,以保护我们的网络免受各种攻击。
防火墙技术保护你的网络免受未经授权的访问
防火墙技术保护你的网络免受未经授权的访问随着互联网的快速发展，网络安全问题日益突出。
未经授权的访问可能导致个人隐私泄露、数据丢失、网络瘫痪等严重后果。
为了保护网络安全，防火墙技术应运而生。
本文将介绍防火墙技术的原理、功能和应用，以及如何选择和配置防火墙来保护你的网络。
一、防火墙技术的原理防火墙是一种位于网络与外部世界之间的安全设备，通过控制网络流量的进出，实现对网络的保护。
防火墙技术的原理主要包括以下几个方面：1. 包过滤：防火墙通过检查数据包的源地址、目的地址、端口号等信息，根据预先设定的规则来决定是否允许通过。
只有符合规则的数据包才能进入或离开网络。
2. 状态检测：防火墙可以跟踪网络连接的状态，对于已建立的连接，只允许双方之间的合法通信，防止未经授权的访问。
3. 地址转换：防火墙可以实现网络地址转换（NAT），将内部网络的私有IP地址转换为公共IP地址，隐藏内部网络的真实地址，增加网络的安全性。
4. VPN支持：防火墙可以提供虚拟专用网络（VPN）的支持，通过加密和隧道技术，实现远程访问和跨网络的安全通信。
二、防火墙技术的功能防火墙技术具有多种功能，主要包括以下几个方面：1. 访问控制：防火墙可以根据预设的规则，限制特定IP地址、端口或协议的访问，阻止未经授权的访问。
2. 内容过滤：防火墙可以检测和过滤特定内容，如病毒、垃圾邮件、恶意软件等，保护网络免受恶意攻击。
3. 安全审计：防火墙可以记录网络流量和事件日志，对网络活动进行监控和审计，及时发现和应对安全威胁。
4. 虚拟专用网络：防火墙可以支持建立虚拟专用网络（VPN），实现远程访问和跨网络的安全通信。
5. 报警和通知：防火墙可以监测网络活动，一旦发现异常或安全事件，及时发出报警和通知，提醒管理员采取相应措施。
三、防火墙技术的应用防火墙技术广泛应用于各种网络环境，包括家庭网络、企业网络和公共网络等。
具体应用场景如下：1. 家庭网络：家庭网络通常连接多个设备，包括电脑、手机、智能家居设备等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
混合型防火墙：利用前两种技术各自的优点而设计的基于包过 滤和代理技术的防火墙类型。
包过滤防火墙的应用与配置
主讲人：何欢
本讲任务
理解防火墙的用途和分类 根据内外网之间的访问控制要求配置包过滤
防火墙
一. 防火墙的定义
防火墙的本义原是指古代人们房屋之间修建的墙，这道墙可以 防止火灾发生的时候蔓延到别的房屋，如图所示。
防火墙的用途和分类
1.1 防火墙的定义
这里所说的防火墙不是指为了防火而造的墙，而是指隔离在本地网络与外界网 络之间的一道防御系统。
包过滤防火墙的配置
2.1 包过滤防火墙用途
数据包过滤可以在网络层截获数据。使用一些规则来确定是否 转发或丢弃所各个数据包。
通常情况下，如果规则中没有明确允许指定数据包的出入，那 么数据包将被丢弃
安全区域
服务器
工作站 台式PC 打印机
服务器
数据包
IP报头 TCP报头 分组过滤判断
数据
控制策略
查找对应的策略
防火墙
数据包
服务器
2.2 包过滤防火墙过滤原理
2.3 包过滤防火墙的过滤规则
一个可靠的分组过滤防火墙依赖于规则集，下表列出了几 条典型的规则集。
第一条规则：主机10.1.1.1任何端口访问任何主机的任何端口，基于 TCP协议的数据包都允许通过。第二条规则：任何主机的20端口访问 主机10.1.1.1的任何端口，基于TCP协议的数据包允许通过。第三条 规则：任何主机的20端口访问主机10.1.1.1小于1024的端口，如果 基于TCP协议的数据包都禁止通过。
因为“Ping”指令用的协议是ICMP，所以这里要对ICMP协议设置过 滤规则。在协议下拉列表中选择“ICMP”，如图所示。
在“ICMP Type”栏目中，将复选框全部选中。在“Action”栏目中， 选择单选框“Drop”。在“Log Packet”栏目中选中“Log into Window”，创建完毕后点击按钮“OK”，一条规则就创建完毕，如图 所示。
以管理员身份安装该软件，安装完毕后，启动“WinRoute Administration”，WinRoute的管理界面如图所示。
默认情况下，该密码为空。点击按钮“OK”，进入系统管理。当系统安装完 毕以后，该主机就将不能上网，需要修改默认设置，点击工具栏图标，出现 本地网络设置对话框，然后查看“Ethernet”的属性，将两个复选框全部选 中，如图所示。
为了使设置的规则生效，点击按钮“应用”，如图所示。
设置完毕，该主机就不再响应外界的“Ping”指令了，使用指令 “Ping”来探测主机，将收不到回应，如图所示。
虽然主机没有响应，但是已经将事件记录到安全日志了。选择 菜单栏“View”下的菜单项“Logs>Security Logs”，察看日 志纪录如图所示。
在互联网上，防火墙是一种非常有效的网络安全系统，通过它可以隔离风险区 域（Internet或有一定风险的网络）与安全区域（局域网）的连接，同时不 会妨碍安全区域对风险区域的访问，网络防火墙结构如下图所示。
1.2 防火墙的功能
根据不同的需要，防火墙的功能有比较大差异，但是 一般都包含以下三种基本功能。 可以限制未授权的用户进入内部网络，过滤掉不安 全的服务和非法用户 防止入侵者接近网络防御设施 限制内部用户访问特殊站点
利用WinRoute创建包过滤规则，创建的规则内容是：防止主 机被别的计算机使用“Ping”指令探测。选择菜单项“Packet Filter”，如图所示。
在包过滤对话框中可以看出目前主机还没有 任何的包规则，如图所示。
选中图网卡图标，单击按钮“添加”。出现过滤规则添加对话 框，所有的过滤规则都在此处添加，如图所示。
由于防火墙假设了网络边界和服务，因此适合于相对 独立的网络，例如Intranet等种类相对集中的网络。 Internet上的Web网站中，超过三分之一的站点都 是有某种防火墙保护的，任何关键性的服务器，都应 该放在防火墙之后。1.3 防火墙功能的局限性
没有万能的网络安全技术，防火墙也不例外。防火 墙有以下三方面的局限：
组序号 1 2 3
动作 允许 允许 禁止
源IP 10.1.1.1 * *
目的IP * 10.1.1.1 10.1.1.1
源端口 * 20 20
目的端口 * * <1024
协议类型 TCP TCP TCP
2.4 WinRoute包过滤防火墙配置
WinRoute目前应用比较广泛，既可以作为一个服务器的防 火墙系统，也可以作为一个代理服务器软件。目前比较常用 的是WinRoute4.1，安装文件如图所示。
1.5 防火墙的分类
常见的放火墙有三种类型：1、分组过滤防火墙；2、应用代理 防火墙；3、混合型防火墙。
分组过滤（Packet Filtering）：作用在协议组的网络层和传 输层，根据分组包头源地址、目的地址和端口号、协议类型等 标志确定是否允许数据包通过，只有满足过滤逻辑的数据包才 被转发到相应的目的地的出口端，其余的数据包则从数据流中 丢弃。
防火墙不能防范网络内部的攻击。比如：防火墙无 法禁止变节者或内部间谍将敏感数据拷贝到软盘上。
防火墙也不能防范那些伪装成超级用户或诈称新雇 员的黑客们劝说没有防范心理的用户公开其口令， 并授予其临时的网络访问权限。
防火墙不能防止传送己感染病毒的软件或文件，不 能期望防火墙去对每一个文件进行扫描，查出潜在 的病毒。
案例1 用WinRoute禁用FTP访问
FTP服务用TCP协议， FTP占用TCP的21端口，主机的IP 地址是“172.18.25.109”，首先创建规则如表所示。
组序号
动作
源IP
目的IP
源端口
目的端口
协议类型
1
禁止
*
172.18.25.10 *
21
TCP
9
利用WinRoute建立访问规则，如图所示。